Moonwell a perdu 8,7 millions de dollars sans qu'aucune ligne de code ne soit piratée

Le protocole de prêt Moonwell a perdu environ 8,7 millions de dollars à la suite d'une exploitation jeudi. Aucun smart contract n'a été compromis. Un attaquant a simplement fait paraître MAMO, un petit token de Base, beaucoup plus précieux qu'il ne l'est réellement. Ce prix gonflé a permis à l'attaquant d'emprunter des actifs réels, notamment Coinbase Wrapped Bitcoin (cbBTC) et USD Coin (USDC). La société de sécurité Blockaid a détecté l'activité et Moonwell a gelé les nouveaux emprunts en quelques heures.

Comment l’exploitation de Moonwell a fonctionné

Le subterfuge reposait sur le prix, pas sur le code. Blockaid a rapporté que l'attaquant avait manipulé le prix du collatéral MAMO pour vider le marché mCBTC de Moonwell en cbBTC. Sa première estimation indique une perte de 50,6 cbBTC, soit plus de 4 millions de dollars.

MAMO est le token de Mamo, un outil de rendement construit sur Base. L’ensemble des MAMO existants valent environ 7,6 millions de dollars, et le token se négocie autour de 0,011366 dollar. Un marché d'une telle taille est facile à manipuler.

Performance du prix MAMO. Source : BeInCrypto

Cela constituait l’ensemble de l’attaque : propulser MAMO sur des marchés peu liquides, le poster en collatéral à un prix artificiellement élevé, puis emprunter des actifs de vraie valeur. L’oracle de Moonwell, le système qui fournit les prix au protocole, a validé cette hausse artificielle.

La société de sécurité PeckShield a ensuite estimé les pertes totales à 8,7 millions de dollars, soit plus que la valeur totale de tous les tokens MAMO. Selon la société, les fonds sont désormais stockés en stablecoin DAI sur un portefeuille débutant par 0xD71d.

Seuils d’emprunt réduits à un Wei alors que les questions sur le remboursement commencent

Moonwell a reconnu l’incident dans un communiqué, indiquant qu’ils travaillaient déjà à stopper l’hémorragie.

« Nous sommes conscients d’un problème affectant le Core Market MAMO sur Base et menons une enquête active. Par mesure de précaution, les limites d'emprunt pour tous les Core Markets sur Base ont été fixées à 1 wei, empêchant de nouveaux emprunts et limitant ainsi le risque de propagation, » a écrit l’équipe.

Un wei est la plus petite unité possible. Ce changement bloque tous les nouveaux prêts sans empêcher les retraits. Les plafonds d'approvisionnement pour MAMO et WELL, le token de gouvernance de Moonwell, ont également été réduits à un wei.

L’exploit de jeudi n’est pas une première. Ce sont de mauvais prix, et non de mauvais codes, qui continuent de coûter cher à Moonwell. Une défaillance d’oracle wrsETH a créé environ 3,7 millions de dollars de créances irrécupérables en novembre 2025. Une mauvaise configuration de l’oracle cbETH a rajouté 1,78 million de dollars en février. Les erreurs de tarification ont désormais coûté plus de 14 millions de dollars au protocole en dix mois.

Le secteur dans son ensemble montre la même vulnérabilité. Term Labs a perdu environ 8,5 millions de dollars après une attaque de gouvernance dimanche. Les analystes accusent de plus en plus les failles de conception économiques plutôt que des erreurs de code pour les plus grosses pertes de la DeFi.

Moonwell annonce qu'une nouvelle mise à jour sera publiée. Deux chiffres seront décisifs : le montant final de la créance irrécouvrable quand le prix de MAMO se stabilisera, et la quantité de cbBTC et USDC restante pour les déposants souhaitant retirer leurs fonds.

Lisez l’article sur BeInCrypto